정보공개포털에 개인정보가 올라갔다면 무엇을 해야 하나 — 개인정보위 결정문 5건이 따져 본 노출 뒤의 대응

핵심 요약: 결재문서의 공개 범위 설정을 잘못해 정보공개포털이나 지자체 정보공개시스템에 원문이 올라가고 그 문서에 개인정보가 들어 있었던 사건을, 개인정보위는 저희가 확인한 결정문 5건(2023~2026년)에서 모두 개인정보 유출로 다뤘습니다. 인지 당일 비공개했지만 정보주체에게 통지하지 않은 노원구는 과태료 750만 원과 통지 시정권고를 받았고(제2025-209-220호), 즉시 비공개·삭제하고 통지(서울특별시·양산경찰서는 신고 포함)를 적법하게 한 서울특별시·영동군청·양산경찰서는 안전조치 위반이 아니라 제28조 제1항의 개인정보취급자 관리·감독 소홀로 시정권고 또는 시정명령과 결과 공표 1년을 받았습니다(제2026-206-091호·제2026-207-109호·제2026-207-111호). 다만 2023년 한 공공기관 사건에서는 유출 신고를 했어도 주민등록번호 파일을 암호화하지 않은 점 때문에 구법 제34조의2에 따른 과징금 1,625만 원이 부과됐습니다. 이미 공개된 문서에서 개인정보를 발견한 기관은 비공개 전환과 별개로, 인지 시각부터 72시간 안에 정보주체 통지와 신고 요건을 확인해야 합니다.

2026년 11월 4일 시사저널은 정보공개포털에 원문으로 공개된 결재문서를 살펴본 결과 적어도 22개 기관의 문서 35건 첨부파일에서 진단서, 주민등록등본 원본, 등기부등본, 전자항공권 같은 개인정보와 민감정보가 노출돼 있었다고 단독 보도했습니다. 행정안전부는 같은 날 원문 다운로드를 전면 중단했고(SBS), 다음 날 설명자료를 내어 사과하면서 전 공공기관 전수점검과 필터링 정비 계획을 밝혔습니다(경향신문). 11월 6일에는 문서 작성 단계부터 보호조치를 의무화한다는 보도(MBC)도 나왔습니다. 다만 무엇을 어떤 규범으로 의무화하는지는 2026년 11월 7일 현재 구체적으로 공개되지 않았고, 개인정보위가 이번 건으로 조사에 착수했다는 발표도 같은 날 기준으로 확인되지 않습니다.

지금 점검을 진행하는 기관의 개인정보 담당자와 결재권자가 알고 싶은 것은 이미 공개된 문서에서 개인정보가 나오면 어떤 일이 생기는가일 것입니다. 이번 22개 기관 건의 결론은 아직 알 수 없습니다. 그러나 같은 경로로 개인정보가 나간 사건을 개인정보위가 판단한 결정문은 이미 있고, 그 결정문들은 노출 자체보다 노출 뒤에 기관이 무엇을 했는지를 더 자세히 따졌습니다.

정보공개포털에 원문이 올라간 개인정보는 「유출」인가?

개인정보위는 유출로 봅니다. 「공공기관의 정보공개에 관한 법률」(이하 "정보공개법") 제8조의2는 중앙행정기관 등이 공개대상으로 분류한 정보를 청구가 없어도 정보공개시스템으로 공개하도록 정합니다. 그래서 담당자가 기안 단계에서 공개 구분을 「대국민 공개」로 고르고 결재가 끝나면, 그 문서와 첨부파일은 별도 절차 없이 바깥에 나갑니다. 2023년 결정문은 이 구조를 「국장급 이상 전결 문서 중 대국민 공개 문서는 정보공개포털에 원문이 공개」된다고 적었습니다.

노원구 사건에서 기관이 내세운 주장은 「실제로 본 사람이 거의 없으니 유출로 확정할 수 없다」는 것이었습니다. 노원구 사건(제2025-209-220호)에서 노원구는 담당자와 민원 당사자를 빼면 제3자로 추정되는 접근이 2회에 그치고 접속 IP를 특정할 수 없으므로 유출로 확정할 수 없다고 주장했습니다. 개인정보위는 유출을 개인정보가 처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이른 것으로 정의한 뒤, 즉시 비공개했더라도 공개 기간 중 불특정인이 첨부파일을 「한 번이라도 다운로드한 이상」 유출로 봐야 한다고 판단했습니다(제2025-209-220호). 이 결정은 다운로드 기록이 있었던 사안이라 다운로드가 전혀 없었던 경우까지 직접 판단한 것은 아닙니다. 다만 정의의 기준이 「알 수 있는 상태」이므로, 기관이 다운로드 기록이 적다는 사정만으로 통지를 미루기는 어려워 보입니다.

2026년 결정문 3건도 같은 방향입니다. 서울특별시·영동군청·양산경찰서 사건 모두 개인정보위는 열람 권한 없는 제3자에게 개인정보가 노출된 사실을 인정했고, 기관이 한 통지를 「유출통지」로 불렀습니다.

개인정보위는 다섯 건을 어떻게 처분했나?

저희가 확인한 결정문은 아래 5건입니다. 같은 경로로 생긴 사건을 모은 것이고, 개인정보위가 처리한 이 유형 사건 전체를 대표하는 표본은 아닙니다.

노원구 사건의 과태료 750만 원은 두 위반을 합친 금액입니다. 결정문에 적힌 기준금액(각 600만 원)과 가중·감경률을 그대로 계산하면, 제29조 안전조치 위반 부분은 70% 감경돼 180만 원이고, 제34조 제1항 통지 위반 부분은 15% 가중과 20% 감경을 거쳐 570만 원입니다. 즉 금액의 대부분은 문서를 공개한 실수가 아니라 통지하지 않은 데서 나왔습니다.

다섯 건의 처분을 가른 것은 무엇이었나?

결정문이 명시적으로 든 사정을 놓고 보면 두 가지가 눈에 띕니다. 하나는 노출 뒤 정보주체에게 통지했는지이고, 다른 하나는 주민등록번호에 대한 안전조치입니다. 5건뿐이고 의결 시기와 적용 법령도 다르므로, 이 두 가지만으로 결론이 정해진다고 단정하기는 어렵습니다.

노출 뒤의 통지

노원구는 인지 당일 문서를 비공개로 돌렸습니다. 그런데도 개인정보위는 제29조 안전조치 위반을 인정했고, 통지 위반에는 더 무거운 판단을 내렸습니다. 노원구는 한국인터넷진흥원으로부터 두 차례 유출 통지를 하라는 안내를 받고도 의결일까지 통지하지 않았습니다. 개인정보위는 통지 의무가 생긴 때부터 72시간이 지난 날 이후 1년 8개월 동안 위반 상태가 이어졌다며 15%를 가중했고, 노원구가 통지 의무를 알면서도 「자의적인 판단에 따라」 통지하지 않았다며 위반이 경미하다고 볼 수 없다고 판단했습니다(제2025-209-220호). 제29조 부분의 과징금은 이와 별도로 판단됐습니다. 개인정보위는 유출이 제64조의2 제1항 제9호의 과징금 사유라고 보면서도, 공문 생산 과정의 실수였다는 점, 규모가 작고 민감정보·고유식별정보가 없었다는 점, 접근이 제한적이었다는 점, 즉시 비공개한 점을 들어 같은 조 제5항 제3호로 과징금을 면제했습니다.

2026년 3건에서는 판단의 출발점이 달랐습니다. 개인정보위는 세 결정문에서 거의 같은 문장으로, 기관이 취급자의 경미한 부주의까지 완전히 통제하는 데에는 한계가 있다는 점, 인지 즉시 비공개하거나 첨부파일을 삭제한 점, 2차 피해가 없는 점, 통지(서울특별시·양산경찰서는 신고 포함)를 적법하게 한 점을 들어 처분할 만한 안전조치의무 위반으로 보기 어렵다고 했습니다. 이렇게 제29조 위반을 인정하지 않는 대신, 개인정보위는 제28조 제1항의 개인정보취급자 관리·감독 의무로 시정조치를 내렸습니다.

따라서 결정문이 든 사정 가운데 노원구 사건과 2026년 3건이 뚜렷이 갈리는 지점은 통지입니다. 다만 2026년 결정문도 통지를 여러 고려 사정 중 하나로 열거했을 뿐이고, 통지만 하면 안전조치 위반이 문제되지 않는다고 판단한 것은 아닙니다.

주민등록번호에 대한 안전조치

2023년 사건에서는 기관이 유출 신고를 했는데도 과징금이 나왔습니다. 그 사건의 첨부 PDF에는 임원예정자 11명의 주민등록번호가 있었는데, 기관은 그 파일에 암호화나 비밀번호를 설정하지 않은 채 결재를 마쳤습니다. 개인정보위는 담당 직원이 비공개 설정을 하지 않은 것이 「사소한 부주의」였다고 하더라도 주민등록번호 암호화 조치를 하지 않은 이상 과징금 면제 대상으로 삼을 수 없다고 판단했고, 대신 피해가 경미하고 기관이 이득을 취할 가능성이 낮은 점 등을 들어 2차 조정액의 50%를 감경했습니다.

이 사건은 2023년 9월 15일 개정법 시행 전에 의결돼 구법 제34조의2(주민등록번호 유출 과징금)가 적용됐습니다. 현행법의 제34조의2는 「노출된 개인정보의 삭제·차단」 조항(2023. 3. 14. 개정)으로, 개인정보처리자가 고유식별정보·계좌정보 등이 정보통신망을 통해 공중에 노출되지 않도록 할 의무를 정하고 있습니다. 양산경찰서 사건에서도 주민등록번호와 진단서가 공개됐지만 처분은 시정명령이었습니다. 두 사건의 차이는 기관의 대응 차이일 수도 있고 그 사이 과징금 체계가 바뀐 영향일 수도 있으며, 양산경찰서 결정문은 파일 암호화 여부를 따로 다루지 않았습니다. 다만 노원구 결정문이 과징금 면제 사유로 민감정보·고유식별정보가 없었다는 점을 들었다는 사실은 기억해 둘 만합니다. 결정문이 직접 판단한 것은 아니지만, 공개된 문서에 주민등록번호 같은 고유식별정보가 있었다면 노원구 사건과 같은 이유로 과징금이 면제된다고 기대하기는 어렵다고 보는 편이 안전합니다.

시정권고와 시정명령

2026년 3건은 모두 제28조로 처분됐지만 강도가 달랐습니다. 영동군청에 대해 개인정보위는 공개 범위 오설정이 여러 부서에서 공통으로 발생한 점, 「원문공개 설정 매뉴얼」 등의 마련과 교육이 미흡했던 점, 공문 2건은 1년 이상 공개됐는데도 기관이 알지 못한 점을 들어 관리·감독을 강화할 필요가 있다고 판단했습니다. 양산경찰서에는 시정권고가 아니라 시정명령이 내려졌고, 명령 내용은 홈페이지 정기 노출 탐지 계획과 업무매뉴얼이었습니다. 개인정보위가 양산경찰서 사건에서 권고가 아니라 명령을 고른 이유는 결정문에 적혀 있지 않습니다.

2026년 3건에는 모두 결과 공표 1년이 붙었습니다. 결정문은 그 근거로 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2025. 7. 1. 시행) 제3조 제1항 제3호를 들었고, 공공기관인 피심인의 처분 내용을 개인정보위 홈페이지에 1년간 공표한다고 적었습니다. 2025년 5월 의결된 노원구 사건의 주문에는 공표가 없습니다. 공표가 무엇으로 결정되는지는 개인정보위 결과 공표는 무엇으로 결정되는가에서 따로 다뤘습니다.

이미 공개된 문서에서 개인정보를 발견하면 무엇을 해야 하나?

결정문이 고려한 사정을 기관이 해야 할 일의 순서로 옮기면 다음과 같습니다.

1. 비공개 전환 또는 첨부파일 삭제, 그리고 인지 시각 기록. 2026년 3건 모두 개인정보위는 인지 즉시 비공개하거나 삭제한 점을 고려했습니다. 노원구 결정문은 72시간을 인지한 날의 시각(18시 30분)부터 셌으므로, 기관은 누가 언제 어떤 경로로 알게 됐는지를 처음부터 기록해 두는 것이 좋습니다.
2. 공개 기간과 접근 기록 확인. 기관은 문서가 언제부터 공개됐는지, 조회·다운로드 기록이 남아 있는지를 확인해야 합니다. 노원구 사건에서 보듯 이 기록은 유출이 아니라고 다투는 근거로 쓰이기보다 통지 범위와 경위를 정리하는 자료로 쓰일 가능성이 높습니다.
3. 72시간 안에 정보주체 통지. 노원구 결정문은 인지 시각부터 72시간 안에 통지하지 않은 것을 개인정보 보호법 제34조 및 같은 법 시행령 제39조 제1항 위반으로 판단했습니다. 기관이 유출 여부를 확정할 때까지 통지를 미루면 그 기간이 그대로 위반 기간이 될 수 있습니다.
4. 신고 요건 확인. 시행령 제40조는 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우, 민감정보나 고유식별정보가 유출된 경우, 외부의 불법 접근으로 유출된 경우 가운데 하나에 해당하면 72시간 안에 신고하도록 정합니다. 같은 조 단서는 유출 경로가 확인돼 개인정보를 회수·삭제하는 등으로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 신고하지 않을 수 있다고 정하지만, 이는 신고에 관한 예외이고 정보주체 통지 의무를 면하게 하는 규정은 아닙니다. 양산경찰서 사건은 정보주체가 1명이었지만 주민등록번호가 들어 있었고, 기관은 신고까지 했습니다. 진단서처럼 건강에 관한 내용이 담긴 문서라면 민감정보 해당 여부도 함께 검토해야 합니다.
5. 같은 유형 문서 전수 확인. 영동군청 사건에서는 오설정이 여러 부서에서 반복됐고 1년 이상 공개된 공문도 있었습니다. 기관은 발견한 문서 하나만 고치지 말고, 같은 담당자·같은 서식·같은 첨부 유형의 문서를 함께 점검해야 합니다.
6. 비공개 기간 만료 관리. 양산경찰서 사건은 처음부터 공개로 설정한 것이 아니라 비공개 기간이 지난 뒤 다시 설정하지 않아 공개로 바뀐 사건입니다. 기관은 비공개 기간이 정해진 문서의 만료일을 따로 관리할 필요가 있습니다.
7. 매뉴얼과 교육, 그리고 그 기록. 2026년 3건의 주문은 모두 교육 계획이나 매뉴얼, 정기 노출 탐지를 요구했습니다. 이미 갖춘 기관이라면 그 내용과 실시 기록을 날짜가 남는 형태로 정리해 두는 것이 조사 국면에서 도움이 됩니다.
8. 주민등록번호가 담긴 파일의 암호화. 2023년 사건의 판단은 구법에 따른 것이지만, 고유식별정보에 대한 안전조치 의무(제24조 제3항)는 현행법에도 있습니다. 기관은 주민등록번호가 들어가는 첨부파일을 결재 전에 가리거나 암호화하는 절차를 두는 편이 안전합니다.

정보주체가 문서 자체의 파기를 요구하는 경우도 있습니다. 영동군청 사건에서 개인정보위는 공공기록물 관리에 관한 법률에 따라 보존기간이 10년인 문서를 파기하지 않은 것은 제21조 제1항 위반으로 보기 어렵다고 판단했습니다. 다만 보존해야 한다는 것과 공개 상태로 두어도 된다는 것은 별개의 문제입니다.

공공기관에 서류를 내는 기업은 무엇을 확인해야 하나?

이번 보도에서 노출된 문서로 거론된 것은 주민등록등본, 등기부등본, 진단서, 전자항공권처럼 민원인이나 기업이 기관에 낸 서류였습니다. 2023년 사건에서도 공개된 첨부파일은 비영리법인이 허가를 받기 위해 낸 임원예정자 인적사항이었습니다. 기업이 인허가·보조금·계약 절차에서 낸 서류는 기관 결재문서의 첨부파일이 될 수 있고, 그 문서의 공개 구분은 기업이 아니라 기관 담당자가 정합니다.

따라서 기업 실무자는 요구받은 범위 안에서만 제출하고, 주민등록번호 뒷자리처럼 심사에 필요하지 않은 부분을 가려 내도 되는지 담당 기관에 먼저 확인하는 것이 좋습니다. 원본 제출을 요구하는 절차도 있어 가림이 허용되는지는 기관과 근거 법령마다 다를 수 있습니다. 어느 기관에 어떤 서류를 언제 냈는지 목록을 남겨 두면, 나중에 기관으로부터 유출 통지를 받았을 때 회사가 임직원에게 안내할 범위를 빠르게 정할 수 있습니다.

유출 신고나 민원·침해신고를 계기로 개인정보위의 조사와 처분 절차가 이어질 수 있습니다. 그 이후의 단계는 유출 통지·신고를 마친 다음에, 담당자 실수로 생긴 유출이 어떻게 제재되는지는 업무 과실 유출도 개인정보 과징금 대상인가에, 통지 지연과 안전조치 위반을 개인정보위가 어떻게 나눠 보는지는 유출 통지가 늦어서 과징금이 나오나, 안전조치가 미흡해서 나오나에 정리했습니다. 위 결정문들은 각 사안의 사실관계를 전제로 한 판단이므로, 구체적인 사안의 결론은 공개된 정보의 종류와 규모, 기관의 대응에 따라 달라질 수 있습니다.

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.

자주 묻는 질문

Q. 공개된 사실을 알자마자 비공개로 돌렸는데도 유출 통지를 해야 하나요?

Q. 정보주체가 공개됐던 문서를 아예 파기해 달라고 하면 파기해야 하나요?

Q. 주민등록번호가 들어 있던 문서가 공개됐다면 과징금이 나오나요?

참고 자료

• 개인정보보호위원회 제2023-013-175호(2023. 7. 26.), 피심인 비실명, 구 개인정보 보호법 제34조의2·제24조 제3항
• 개인정보보호위원회 제2소위원회 제2025-209-220호(2025. 5. 14.), 노원구
• 개인정보보호위원회 제2소위원회 제2026-206-091호(2026. 3. 25.), 서울특별시
• 개인정보보호위원회 제2소위원회 제2026-207-109호(2026. 4. 8.), 영동군청
• 개인정보보호위원회 제2소위원회 제2026-207-111호(2026. 4. 8.), 양산경찰서
• 개인정보 보호법, 국가법령정보센터 (2023년 이후 4건은 법률 제19234호, 2023. 9. 15. 시행 기준으로 판단됨)
• 개인정보 보호법 시행령, 제39조·제40조
• 공공기관의 정보공개에 관한 법률, 제8조의2·제9조 제1항 제6호
• 시사저널 2026. 11. 4. 단독 보도 · 시사저널 후속 보도
• SBS 2026. 11. 4. 보도 · 경향신문 2026. 11. 5. 보도 · MBC 2026. 11. 6. 보도